Política de privacidad

Pendiente de completar. Texto revisado por nuestro abogado. Lo marcado en amarillo son datos que aún tenemos que completar antes de abrir la web al público.

Responsable

El responsable del tratamiento es [NOMBRE EXACTO DE LA EMPRESA], [FORMA, ESTADO DE CONSTITUCIÓN Y NÚMERO DE REGISTRO], con domicilio en [DIRECCIÓN DE LA EMPRESA], sociedad establecida en Estados Unidos. Contacto de privacidad: [CORREO OPERATIVO]. No hemos designado delegado de protección de datos: con nuestro volumen de tratamiento actual no es obligatorio (art. 37 RGPD). Si lo designamos, sus datos de contacto aparecerán aquí.

Como ofrecemos el servicio a personas que se encuentran en la Unión Europea, se aplica el Reglamento (UE) 2016/679 (RGPD). Representante en la Unión (art. 27 RGPD), designado por escrito: [NOMBRE, ESTADO MIEMBRO Y CONTACTO DEL REPRESENTANTE DESIGNADO POR ESCRITO]. Puedes dirigirle cualquier cuestión sobre el tratamiento de tus datos.

A quién se dirige esta política

A las personas que usan la web y el escaneo gratuito, crean una cuenta, solicitan verificarse, autorizan avisos o contratan un plan. También podemos tratar datos de personas que aparecen en los contenidos revisados, estrictamente para comprobar y tramitar una solicitud.

Qué tratamos y por qué

Actividad	Datos y finalidad	Fundamento
Navegación y seguridad	IP y registros técnicos indispensables para funcionamiento, prevención de abuso y seguridad.	Interés legítimo en proteger el servicio, previa ponderación; otras bases cuando procedan.
Escaneo gratuito	@ consultado, enlaces públicos hallados, IP y límites de uso. Se muestran resultados parcialmente ocultos. El resultado se guarda 7 días (si creas una cuenta con ese perfil, pasa a formar parte de ella); el registro de cada búsqueda (el @ y cuántos enlaces salieron), 12 meses.	Interés legítimo (art. 6.1.f RGPD) en detectar la difusión no autorizada de contenidos. Ponderación: solo se consultan fuentes públicas; el resultado sale parcialmente oculto y dura 7 días; no se contacta con la persona del perfil ni con ninguna web, ni se envía ningún aviso; para ver los enlaces completos o actuar hay que crear una cuenta y demostrar que se controla el perfil.
Cuenta	Correo, credenciales protegidas, nombre artístico, perfiles y preferencias para mantener la cuenta.	Ejecución del servicio solicitado y seguridad.
Verificación	Código en biografía o prueba de control del perfil; excepcionalmente, documento o selfie si el método menos intrusivo no basta. Comprobación de la mayoría de edad, sin guardar copias del documento.	Gestión del servicio (art. 6.1.b RGPD) e interés legítimo en impedir avisos en nombre de quien no es titular del perfil (art. 6.1.f). Usamos siempre la prueba menos intrusiva que basta: primero el código en la biografía o el control del perfil; el documento o la selfie, solo si eso no es posible. Anotamos el método y la fecha, sin guardar copia del documento ni de la selfie.
Búsqueda y avisos	URLs, contenidos, capturas imprescindibles, derechos alegados, lista blanca, autorización (con el nombre legal y el documento de quien firma), comunicaciones y estado del expediente.	Ejecución del servicio y, cuando el contenido revele datos de categoría especial, una condición adicional válida del art. 9 RGPD para cada operación.
Pago y facturación	Stripe gestiona el pago con tarjeta. Unleak recibe nombre, correo, dirección de facturación, país, identificador fiscal si lo das, plan, estado de los pagos y facturas; nunca los datos completos de la tarjeta. Stripe trata los datos del pago como encargado del tratamiento por nuestra cuenta y, para sus propias finalidades (prevención del fraude y cumplimiento de sus obligaciones legales), como responsable independiente, según su política de privacidad.	Contrato y obligaciones legales.
Comunicaciones del servicio	Verificación, seguridad, confirmaciones, actividad contratada, avisos indispensables y recordatorios sobre tu plan o tu pago (por ejemplo, si un cobro no se ha podido hacer).	Servicio solicitado. Las promociones se gestionan separadamente.
Promociones	Correo y registro del consentimiento y de la baja. Solo si marcas la casilla opcional al registrarte; cada correo lleva su enlace de baja (y el botón de baja de tu programa de correo). Si pulsas el botón de uno de estos correos o respondes su encuesta de un clic, lo anotamos para saber qué correos son útiles; no usamos píxeles para saber si los abres.	Tu autorización previa.
Estadísticas de la web	Contamos las páginas vistas cada día y desde qué web se llega (solo el dominio, p. ej. «google», o la etiqueta de campaña del enlace). Sin cookies y sin guardar la IP ni nada que identifique a quien visita.	Interés legítimo en saber cómo se usa la web; son cifras agregadas que no identifican a nadie.
Búsqueda facial	No disponible.	No se recogen fotos de referencia ni plantillas faciales para esta finalidad mientras no se apruebe e informe el tratamiento separadamente.

Los contenidos de carácter sexual pueden revelar información relativa a la vida sexual u otros datos especialmente protegidos. Antes de tratar cada categoría de contenido, Unleak debe acreditar una base del art. 6 RGPD y una condición aplicable del art. 9 RGPD, con medidas de minimización y seguridad. Si no puede hacerlo para un caso, no tramitará ese contenido. La Ley Orgánica 3/2018 y el Reglamento (UE) 2016/679 rigen este tratamiento.

Destinatarios y transferencias

Para gestionar un aviso comunicamos al destinatario —web, alojamiento, buscador o plataforma— los datos estrictamente necesarios para examinarlo: nombre de quien notifica, contacto profesional, URL, derecho invocado y prueba pertinente. Como regla operativa usamos el nombre artístico de la creadora cuando basta; no garantizamos que un tercero no solicite identificación adicional ni que el aviso no se publique.

Utilizamos proveedores de alojamiento, correo, búsqueda, autenticación y, cuando esté contratada, pasarela de pagos:

Alojamiento del servidor: IONOS, en su centro de datos de Logroño (España). Encargado del tratamiento, con el contrato del art. 28 RGPD que forma parte de sus condiciones generales.
Envío de correo: Brevo (Francia, UE). Encargado del tratamiento, con el acuerdo de tratamiento de datos que forma parte de sus condiciones de uso.
Escaneo con Serper: recibe solo el texto de la búsqueda (el nombre artístico o el @ consultado y las palabras buscadas), sin tu correo, tu IP ni ningún otro dato de tu cuenta; está en EE. UU.
Inicio de sesión con Google: solo si lo eliges; recibimos tu nombre y tu correo. Google LLC (EE. UU.) está adherida al Marco de Privacidad de Datos UE-EE. UU., reconocido por la decisión de adecuación de la Comisión Europea de 10 de julio de 2023.
Pasarela de pago: Stripe (pago con tarjeta, facturas e impuestos), con sede principal en EE. UU. e Irlanda. Encargado del tratamiento para cobrar por nuestra cuenta y responsable independiente para sus propias finalidades. Stripe, LLC está adherida al Marco de Privacidad de Datos UE-EE. UU. y aplica además las cláusulas contractuales tipo de la Comisión Europea.
Cloudflare Turnstile (comprobación antirrobots del escaneo gratis, cuando esté activada): recibe datos técnicos del navegador y de la conexión para distinguir personas de robots, no para identificarte. Cloudflare actúa como encargado del tratamiento para esa comprobación y como responsable independiente para mejorar su detección de robots. Cloudflare, Inc. (EE. UU.) está adherida al Marco de Privacidad de Datos UE-EE. UU.

Acceso desde Estados Unidos. Los datos se alojan en la UE, pero el responsable está establecido en Estados Unidos y personas autorizadas de la empresa pueden acceder a ellos desde allí. Solo accede el personal autorizado de la empresa (dirección, agentes y revisión), con cuenta personal, permisos según su función y registro de lo que hace, y solo a los datos que necesita para su tarea: cuentas, verificación, enlaces encontrados, avisos y facturación. La empresa está sujeta directamente al RGPD (art. 3.2) y aplica las mismas medidas desde cualquier lugar. Cuando nos das tus datos directamente a través de la web, esa recogida no es una transferencia internacional (Directrices 05/2021 del Comité Europeo de Protección de Datos). La empresa no está adherida al Marco de Privacidad de Datos UE-EE. UU.

Si se produce otra transferencia fuera del Espacio Económico Europeo, se identificará la decisión de adecuación o garantía aplicable y cómo solicitar información sobre ella.

Datos que no nos das tú. Cuando obtenemos datos de personas distintas de quien usa el servicio (por ejemplo, al buscar un perfil o revisar un enlace), los obtenemos de fuentes accesibles públicamente: las propias webs y plataformas, los buscadores y los registros públicos de dominios y alojamiento. Son, como mucho, el enlace, el nombre de usuario o del canal y los datos de contacto de la web, del alojamiento o de la plataforma. Solo se usan para tramitar la retirada, con base en el interés legítimo de la creadora y nuestro en defender sus derechos (art. 6.1.f RGPD), y se guardan el mismo plazo que los avisos. Cada aviso identifica a quien lo envía y su motivo. Cuando informar a cada persona por separado sea imposible, exija un esfuerzo desproporcionado o pueda frustrar la retirada, nos acogemos al art. 14.5.b RGPD y hacemos pública esta información aquí. Esas personas pueden ejercer sus derechos en el mismo correo de privacidad.

Conservación

El resultado del escaneo gratuito se conserva siete días. Los demás datos se conservarán durante el periodo necesario para la finalidad y, después, únicamente mientras proceda su conservación restringida por obligaciones legales o reclamaciones:

Cuenta inactiva sin contratación: 24 meses desde el último acceso. Te avisamos por correo 30 días antes de suprimirla.
Prueba de identidad y documentos: no guardamos copia del documento ni de la selfie; se comprueban en el momento. El resultado (método, fecha y quién lo comprobó) se guarda mientras tengas cuenta y, si se han enviado avisos en tu nombre, el mismo plazo que esos avisos.
Autorizaciones y prueba de avisos: mientras dure el servicio y 5 años desde el último aviso enviado, el plazo general de prescripción de las acciones personales (art. 1964.2 del Código Civil), por si un aviso se impugna o hay que defenderlo.
Registros de seguridad y auditoría: los registros técnicos del servidor se rotan automáticamente y se borran, como máximo, a los 12 meses. Lo que hace el equipo en cada expediente se guarda el mismo plazo que los avisos.
Facturas: 7 años desde su emisión, para cumplir las obligaciones fiscales y contables de la empresa.

Cerrar la cuenta inicia la revisión de supresión o bloqueo, no la eliminación inmediata e indiscriminada de todos los registros.

Derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando proceda, escribiendo a [CORREO OPERATIVO]. Si el tratamiento se basa en consentimiento, puedes retirarlo sin afectar a la licitud de lo realizado antes. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es). Si tu petición afecta a un aviso ya enviado, intentaremos atender lo que nos corresponde, pero no podemos eliminar unilateralmente las copias mantenidas por terceros.